Правомерность штрафов за не проверку QR-кодов и нарушение закона о персональных данных при проверке сертификатов вакцинации в магазинах

Интересует вопрос по правомерности штрафов за то что та или иная организация не проверяет QR коды о вакцинации, либо отказ покупателя показать QR код, либо если покупатель показывает фиктивный QR код по типу Китайских измененных псевдо-брендов на примере непродовольственного магазина. В сертификате вакцинации с QR кодом указаны персональные данные, как это пересекается с законом о защите персональных данных? Проверяя QR код что мешает проверяющему сфотографировать чьи то данные, могу ошибаться, но как мне кажется для работы с персональными данными должно быть согласие на их обработку. Я могу согласия не дать, таким образом не показывая сертификат и паспорт, но могут ли мне в этом случае отказать в обслуживании? К этому же вопросу так же относится такой момент, покупатель может вскрыть упаковку товара, после чего оплатить его, но если покупателю отказали в обслуживании из-за отсутствия сертификата, а он вскрыл упаковку какого-либо товара, то здесь уже сложно отказать, в полиции заявление так же странно будет выглядеть т.к. покупатель то предлагал оплатить, но у него отказываются принять оплату. Так же при сканировании QR кода этот QR код может вести просто на картинку где будет указано что сертификат действителен и на сертификате вакцинации могут совпадать персональные данные с паспортом, а так как в самом сертификате нет ни печати ни подписи, то это даже не является подделкой документа, более того это это даже документом сложно назвать. Так же QR код может вести на вредоносный сайт, что вобщем-то является нарушением правил информационной безопасности, ведь те кто проверяют QR коды обычно мало что в этом понимают и могут не задумываясь перейти по этой ссылке.